時至今日，企業乃至整個社會對于計算機及業務系統的依賴性已經達到史無前例的程度。與此同時，攻擊者們也開始將目標指向企業中的有價值的信息，此類趨勢令安全形式更加復雜，并給企業安全團隊保障關鍵系統安全運行及避免系統中斷帶來了巨大壓力。

有時候，無論企業用戶如何從安全角度出發進行準備，遭遇的攻擊活動始終有可能令業務系統陷入困境，安全團隊則往往需要展開激烈討論、決定是否需要關閉受感染或被攻擊者盯上的系統。如何才能科學準確做出停機決策?安全人員需要考量哪些因素?

在本文中，我們將一同探討一些有可能引發系統停機的常見情況，并研究如何提前為此做好準備。

什么情況下系統應該停機

在面對信息安全事故時將關閉系統作為對策聽起來似乎過于極端，但在某些情況下卻很可能算是最佳選擇。為了權衡是否有必要關閉系統，技術部門必須認真評估停機后可能引發的各類后果。

在某些情況下，全局系統(或者部分系統)受到干擾有可能危及他人生命財產安全或者令企業自身及某些客戶遭受嚴重損失。在這類情況下，系統停機無疑應該成為最優先的應對措施。舉例來說，如果攻擊者掌握了城市交通燈的控制權，那么立即關閉該系統絕對是最好的選擇。大部分司機都能在指示燈失靈時做出正確判斷，相比之下聽任攻擊者掌握交通控制權顯然會帶來極為可怕的后果。

不過前面舉的例子太過極端，大家也很容易做出決策;企業用戶所面臨的大部分狀況都不可能如此激烈。

例如，一套被蠕蟲病毒感染了的系統有可能對其它本地系統發起攻擊，這時將該系統從網絡中移除或者將其關閉能夠有效阻止蠕蟲向其它系統的擴散。蠕蟲病毒在不同系統之間的傳播速度非常驚人，因此大家必須盡快做出系統關閉決定。是否最終采取這樣的決定還要看業務體系的實際安全性及可用性控制能力，包括是否能將安全問題控制在單一賬戶內而非使其擴散至整套系統當中。

對于那些不涉及敏感數據而只與可用性要求相關的系統，安全團隊做起決策來就要輕松得多：只需要對停機與受感染系統恢復兩種方案的綜合成本進行匯總，并以數字為依據做出決定即可。舉例來說，雖然攻擊者暫時只能控制外部網絡連接，但及時將其關閉可防止犯罪分子進一步侵襲高價值系統，這樣的決策往往是比較激進但最優先的處理方式。

當然，對于某些信息安全事故來說，關閉系統也可能成為最不科學、后果最嚴重的選項。如果某位攻擊者已經突破了一套本地系統，那么系統關閉很可能破壞掉有助于揪出犯罪分子的有價值線索。另外，關閉所有網絡連接或者全局網絡體系也可能破壞調查工作必要的證據。對于安全人員來說，最好的辦法是在系統運行的同時直接拔掉網絡連接，這樣攻擊者將無法繼續訪問系統。個別企業能夠在這樣封閉的環境中進行取證，從而防止有價值信息遭到破壞。

系統停機前應做哪些準備

雖然關閉系統是一步釜底抽薪的高招，但企業在實際著手之前也要進行一系列準備工作。

首先，弄清楚系統中保存著哪些數據并分析數據會給業務帶來哪些影響。業務影響分析會記錄下各個系統對業務流程的重要性、系統的實際作用以及系統中斷可能帶來的潛在問題。

接下來登場的是業務連續性與災難恢復計劃，這類似于一套事故應急預案，需要在事故發生之前制定完成并進行定期測試。因此一旦系統停機成為最佳選擇，大家手頭必須保有一套早已制定完善的執行流程。

在關閉系統之前，安全事件響應規程中的重要部分在于獲得方方面面的相關授權。在開發業務連續性與災難恢復計劃或者事故應急預案時，我們必須預留與相關人士直接交流的通道，其中包括企業首席信息安全官、首席信息官、咨詢服務臺、企業老總以及營銷部門等，這將有效幫助大家快速做出明智決定、縮短系統關閉的討論流程。如果系統關閉會立即中止業務流程，企業管理者必須提前得到通知。他們還需要了解系統停機給企業造成的影響，包括對正在進行的事務、潛在運營成本以及管理的影響等。到底哪些人士需要了解哪些信息，則取決于企業的組織結構以及可資調配的資源。

最后，請大家牢記一點：系統停機并不一定能起到促進系統安全的作用，而且也不該被視為安全事故應急預案中的最后處理手段。在關閉系統之后，大家首先要做的是補救由安全引起的后續問題。具體整治工作可能包括系統修復、配置變更或者只允許來自受信連接的訪問。這一步驟的處理時間取決于業務影響分析以及業務連續性與災難恢復規劃的處理結果。

如果停機會對系統造成嚴重影響，那么我們需要盡快組織恢復工作。舉例來說，如果某臺Web服務器中的Web應用程序受到SQL注入漏洞的影響而必須關閉，那么我們在開發補丁的同時必須對Web應用的防火墻設置或配置進行更改，從而阻止Web服務器運行任何來自該系統的命令。

結論

對于遭受攻擊活動困擾的企業來說，最為激烈的反應措施有時候恰恰是最理想、最有效的處理手段。了解特定系統或者網絡停機給業務造成的影響，我們才能夠了解將資源投入哪些領域能夠切實保護系統、關閉系統的決策是否合理。無論特定情況下哪種處理方式最理想，大家都應該保證在計劃實際執行前將溝通渠道部署到位。高效的交流機制是將事故負面影響降至最低的重中之重。